سازمان Cybersecurity and Infrastructure Security Agency (CISA) ایالات متحده چندین آسیب‌پذیری حیاتی از محصولات Oracle، Microsoft Windows، Kentico و Apple را به فهرست Known Exploited Vulnerabilities (KEV) خود اضافه کرده است. این فهرست شامل نقص‌هایی است که در حملات واقعی مورد سوءاستفاده قرار گرفته‌اند و باید فوراً برطرف شوند.
🔹 جزئیات آسیب‌پذیری‌ها
۱. CVE-2025-61884 – Oracle E-Business Suite SSRF
آسیب‌پذیری Server-Side Request Forgery (SSRF) در کامپوننت Runtime UI نسخه‌های ۱۲.۲.۳ تا ۱۲.۲.۱۴ از Oracle E-Business Suite با امتیاز CVSS 7.5.
این نقص توسط مهاجمان بدون نیاز به احراز هویت قابل بهره‌برداری است و می‌تواند موجب افشای اطلاعات حساس شود.
طبق گفته‌ی Rob Duhart، مدیر امنیت ارشد اوراکل:
«این آسیب‌پذیری برخی از استقرارهای Oracle E-Business Suite را تحت تأثیر قرار می‌دهد و می‌تواند منجر به دسترسی غیرمجاز به منابع حساس شود.»
اوراکل برای این مشکل وصله‌ی امنیتی اضطراری منتشر کرده است. هنوز مشخص نیست آیا CVE-2025-61884 در حملات فعال استفاده شده یا با CVE-2025-61882 مرتبط است.
۲. CVE-2025-33073 – Microsoft Windows SMB Client Improper Access Control
نقص کنترل دسترسی نادرست در SMB Client ویندوز که می‌تواند باعث افزایش سطح دسترسی (Privilege Escalation) شود.
مایکروسافت این مشکل را در ژوئن ۲۰۲۵ اصلاح کرده است.
۳. CVE-2025-2746 و CVE-2025-2747 – Kentico Xperience Authentication Bypass
دو آسیب‌پذیری دور زدن احراز هویت بحرانی در CMS Kentico Xperience که مهاجمان را قادر می‌سازد کنترل کامل اشیای مدیریتی را از طریق نقص در سیستم Staging Sync Server به دست آورند.
این نقص‌ها ناشی از ضعف در مدیریت رمز عبور Digest و None Password Type هستند و می‌توانند منجر به تسلط کامل بر پنل مدیریتی CMS شوند.
۴. CVE-2022-48503 – Apple JavaScriptCore Arbitrary Code Execution
آسیب‌پذیری سه‌ساله در مؤلفه‌ی JavaScriptCore محصولات اپل که می‌تواند در هنگام پردازش محتوای وب منجر به اجرای کد دلخواه (RCE) شود.
⚙️ الزامات و اقدامات فوری
بر اساس دستورالعمل Binding Operational Directive (BOD) 22-01، تمام نهادهای فدرال موظف‌اند تا تاریخ ۱۰ نوامبر ۲۰۲۵ این آسیب‌پذیری‌ها را وصله کنند تا از سوءاستفاده در شبکه‌های دولتی جلوگیری شود.
کارشناسان همچنین به شرکت‌ها و سازمان‌های خصوصی توصیه می‌کنند فهرست KEV را بررسی کرده و به‌روزرسانی‌های امنیتی را فوراً اعمال کنند تا از نفوذ احتمالی جلوگیری شود.
یک نظر